Forensics

analyzing-usb-device-connection-history ajuda a investigar o histórico de conexão de dispositivos USB no Windows usando hives de registro, logs de eventos e setupapi.dev.log para Forense Digital, análise de ameaça interna e resposta a incidentes. O skill apoia a reconstrução de linhas do tempo, a correlação de dispositivos e a análise de evidências de mídias removíveis.

analyzing-browser-forensics-with-hindsight ajuda equipes de Forense Digital a analisar artefatos de navegadores Chromium com o Hindsight, incluindo histórico, downloads, cookies, autofill, favoritos, metadados de credenciais salvas, cache e extensões. Use-o para reconstruir atividades na web, revisar linhas do tempo e investigar perfis do Chrome, Edge, Brave e Opera.

analyzing-bootkit-and-rootkit-samples é uma skill de análise de malware para investigações de MBR, VBR, UEFI e rootkits. Use-a para inspecionar setores de inicialização, módulos de firmware e indicadores anti-rootkit quando a compromissão persiste abaixo da camada do sistema operacional. É indicada para analistas que precisam de um guia prático, um fluxo de trabalho claro e triagem baseada em evidências para Malware Analysis.

building-incident-timeline-with-timesketch ajuda equipes de DFIR a montar linhas do tempo colaborativas de incidentes no Timesketch, ingerindo evidências em Plaso, CSV ou JSONL, normalizando timestamps, correlacionando eventos e documentando cadeias de ataque para triagem e elaboração de relatórios de incidentes.

analyzing-supply-chain-malware-artifacts é uma skill de análise de malware voltada a rastrear atualizações trojanizadas, dependências contaminadas e adulteração em pipelines de build. Use-a para comparar artefatos confiáveis e não confiáveis, extrair indicadores, avaliar a extensão da comprometimento e relatar as descobertas com menos achismos.

analyzing-ransomware-payment-wallets é uma habilidade de forense em blockchain, em modo somente leitura, para rastrear carteiras de pagamento de ransomware, acompanhar o movimento dos fundos e agrupar endereços relacionados para auditoria de segurança e resposta a incidentes. Use-a quando você tiver um endereço BTC, um hash de transação ou uma carteira suspeita e precisar de suporte à atribuição com base em evidências.

Skill de analyzing-ransomware-encryption-mechanisms para análise de malware, com foco em identificar criptografia de ransomware, tratamento de chaves e viabilidade de descriptografia. Use-o para inspecionar AES, RSA, ChaCha20, esquemas híbridos e falhas de implementação que podem ajudar na recuperação.

analyzing-ransomware-leak-site-intelligence ajuda a monitorar sites de vazamento de dados de ransomware, extrair sinais de vítimas e grupos, e gerar inteligência de ameaças estruturada para resposta a incidentes, análise de risco setorial e acompanhamento de adversários.

A skill extracting-windows-event-logs-artifacts ajuda você a extrair, interpretar e analisar Windows Event Logs (EVTX) para perícia digital, resposta a incidentes e threat hunting. Ela dá suporte à revisão estruturada de logons, criação de processos, instalação de serviços, tarefas agendadas, alterações de privilégios e limpeza de logs com Chainsaw, Hayabusa e EvtxECmd.

Guia de extracting-memory-artifacts-with-rekall para analisar imagens de memória do Windows com o Rekall. Aprenda padrões de instalação e uso para encontrar processos ocultos, código injetado, VADs suspeitos, DLLs carregadas e atividade de rede para Forense Digital.

A skill extracting-credentials-from-memory-dump ajuda a analisar dumps de memória do Windows em busca de hashes NTLM, segredos LSA, material Kerberos e tokens, usando fluxos de trabalho com Volatility 3 e pypykatz. Ela foi feita para Digital Forensics e resposta a incidentes quando você precisa de evidências defensáveis, avaliar o impacto em contas e orientar a remediação a partir de um dump válido.

extracting-browser-history-artifacts é uma skill de Forense Digital para extrair histórico de navegação, cookies, cache, downloads e favoritos do Chrome, Firefox e Edge. Use-a para transformar arquivos de perfil do navegador em evidências prontas para linha do tempo, com um fluxo de trabalho repetível e orientado a casos.

eradicating-malware-from-infected-systems é uma habilidade de resposta a incidentes de cibersegurança para remover malware, backdoors e mecanismos de persistência após o containment. Inclui orientação de fluxo de trabalho, arquivos de referência e scripts para limpeza em Windows e Linux, rotação de credenciais, correção da causa raiz e validação.

analyzing-linux-kernel-rootkits ajuda fluxos de trabalho de DFIR e threat hunting a detectar rootkits no kernel Linux com checagens cross-view do Volatility3, varreduras com rkhunter e análise de /proc versus /sys para identificar módulos ocultos, syscalls com hook e estruturas do kernel adulteradas. É um guia prático de analyzing-linux-kernel-rootkits para triagem forense.

A skill analyzing-linux-elf-malware ajuda a analisar binários ELF suspeitos de Linux para malware, com orientação para checagem de arquitetura, strings, imports, triagem estática e identificação inicial de botnets, miners, rootkits, ransomware e ameaças a containers.

conducting-memory-forensics-with-volatility ajuda você a analisar dumps de RAM com o Volatility 3 para encontrar código injetado, processos suspeitos, conexões de rede, roubo de credenciais e atividade oculta no kernel. É uma skill prática de conducting-memory-forensics-with-volatility para triagem de Digital Forensics e resposta a incidentes.

conducting-malware-incident-response ajuda equipes de IR a triar suspeitas de malware, confirmar infecções, dimensionar a propagação, conter endpoints e apoiar a erradicação e a recuperação. Ele foi projetado para conducting-malware-incident-response em fluxos de trabalho de Resposta a Incidentes, com etapas baseadas em evidências, decisões orientadas por telemetria e orientação prática de contenção.

conducting-cloud-incident-response é uma skill de resposta a incidentes em nuvem para AWS, Azure e GCP. Ela foca em contenção baseada em identidade, revisão de logs, isolamento de recursos e captura de evidências forenses. Use quando houver atividade suspeita de API, chaves de acesso comprometidas ou invasão de workloads em nuvem e você precisar de um guia prático de conducting-cloud-incident-response.

analyzing-windows-registry-for-artifacts ajuda analistas a extrair evidências de hives do Windows Registry para identificar atividade de usuários, software instalado, autoruns, histórico de USB e indicadores de comprometimento em fluxos de resposta a incidentes ou auditoria de segurança.

A skill analyzing-windows-amcache-artifacts faz o parsing dos dados do Windows Amcache.hve para recuperar evidências de execução de programas, software instalado, atividade de dispositivos e carregamento de drivers em fluxos de trabalho de DFIR e auditoria de segurança. Ela usa o AmcacheParser e orientações baseadas em regipy para apoiar a extração de artefatos, a correlação por SHA-1 e a revisão de linha do tempo.

analyzing-uefi-bootkit-persistence ajuda a investigar persistência em nível UEFI, incluindo implantes na SPI flash, adulteração da ESP, bypass de Secure Boot e mudanças suspeitas em variáveis UEFI. Foi criado para triagem de firmware, resposta a incidentes e trabalho de Security Audit com orientações práticas e baseadas em evidências sobre analyzing-uefi-bootkit-persistence.

A skill analyzing-powershell-empire-artifacts ajuda equipes de Auditoria de Segurança a detectar artefatos do PowerShell Empire em logs do Windows usando Script Block Logging, padrões de launcher em Base64, IOCs de stagers, assinaturas de módulos e referências de detecção para triagem e criação de regras.

Skill de análise de PowerShell Script Block Logging para analisar o Event ID 4104 do Windows PowerShell a partir de arquivos EVTX, reconstruir blocos de script fragmentados e sinalizar comandos ofuscados, payloads codificados, abuso de Invoke-Expression, download cradles e tentativas de bypass do AMSI em trabalhos de auditoria de segurança.

analyzing-pdf-malware-with-pdfid é uma habilidade de triagem de malware em PDF para detectar JavaScript embutido, marcadores de exploit, fluxos de objetos, anexos e ações suspeitas antes de abrir um arquivo. Ela oferece suporte à análise estática para investigação de PDFs maliciosos, resposta a incidentes e fluxos de trabalho de auditoria de segurança com analyzing-pdf-malware-with-pdfid.